Anwälte für Datenschutzrecht · DSGVO · BDSG · TDDDG · 10 Standorte bundesweit

0511.35 73 56-0 · info@datenschutzrechtblog.de

Fachkanzlei für Datenschutzrecht · horak.

Schlagwort: Art. 82 DSGVO

  • EuGH: Missbräuchliche Auskunftsersuchen – kein Schadensersatz

    Viele Unternehmen kennen das Muster: Jemand meldet sich zum Newsletter an, stellt kurz darauf ein Auskunftsersuchen nach Art. 15 DSGVO und fordert bei der kleinsten Verzögerung Schadensersatz. Mit Urteil vom 19. März 2026 (Rs. C-526/24, Brillen Rottler) hat der Gerichtshof der Europäischen Union entschieden, dass ein solches Vorgehen rechtsmissbräuchlich sein kann, und zwar schon beim ersten Auskunftsersuchen.

    Der Fall

    Eine in Österreich lebende Person hatte den Newsletter eines Augenoptikers aus Arnsberg abonniert und 13 Tage später Auskunft über ihre Daten verlangt. Das Unternehmen lehnte das Ersuchen als missbräuchlich ab. Es verwies auf öffentlich zugängliche Berichte, wonach die Person systematisch Newsletter verschiedener Unternehmen abonniere, Auskunft verlange und anschließend Schadensersatz fordere. Die Person verlangte mindestens 1.000 Euro für einen immateriellen Schaden. Das Amtsgericht Arnsberg legte dem EuGH mehrere Fragen vor.

    Die Kernaussagen

    • Art. 12 Abs. 5 DSGVO erfasst nicht nur wiederholte Anfragen. Auch ein erstes Auskunftsersuchen ist ausnahmsweise missbräuchlich, wenn es nicht der Kontrolle der Datenverarbeitung dient, sondern nur die Grundlage für einen späteren Schadensersatzanspruch schaffen soll, selbst wenn es die formalen Voraussetzungen erfüllt.
    • Hinweise auf ein systematisches Vorgehen, etwa frühere Auskunftsersuchen gegenüber anderen Unternehmen mit anschließenden Schadensersatzforderungen, dürfen in die Bewertung einfließen, auch wenn sie aus öffentlichen Quellen stammen.
    • Ein Anspruch setzt einen tatsächlichen materiellen oder immateriellen Schaden voraus; ein bloßer Verstoß genügt nicht.
    • Ist das Verhalten der betroffenen Person selbst die maßgebliche Ursache des geltend gemachten Schadens, besteht kein Anspruch.
    • Die Ablehnung wegen Missbrauchs bleibt die Ausnahme. Der Verantwortliche muss den Missbrauch im Einzelfall nachweisen.

    Einordnung

    Das Urteil ist eine wichtige Grenzziehung. Das Auskunftsrecht bleibt ein starkes Recht, für dessen Geltendmachung grundsätzlich keine Begründung erforderlich ist. Es darf aber nicht als Geschäftsmodell zur Erzeugung von Schadensersatzansprüchen missbraucht werden. Damit fügt sich die Entscheidung in die Linie ein, wonach der Schadensersatz nach Art. 82 DSGVO eine reine Ausgleichsfunktion hat; siehe unsere Zwischenbilanz zum DSGVO-Schadensersatz.

    Was bedeutet das für Unternehmen?

    • Der Regelfall ist und bleibt die fristgerechte, vollständige Auskunft; siehe unseren Leitfaden „Auskunftsersuchen richtig beantworten“. Vorschnelle Ablehnungen sind riskant.
    • Wer ein missbräuchliches Vorgehen vermutet, sollte die Anhaltspunkte sorgfältig sammeln: zeitlicher Zusammenhang, standardisierte Schreiben, öffentlich bekannte Serienforderungen.
    • Eine unberechtigte Ablehnung kann ihrerseits einen Verstoß darstellen. Im Zweifel empfiehlt sich rechtlicher Rat.

    Was bedeutet das für Betroffene?

    Für die große Mehrheit der Betroffenen ändert sich nichts. Wer wissen möchte, was über ihn gespeichert ist, kann dies weiterhin ohne Begründung verlangen. Wie das geht, erklären wir in „Datenauskunft verlangen“.

    Unternehmen haben damit ein Instrument gegen Serienforderungen, müssen den Missbrauch aber im Einzelfall belegen. Erhalten Sie auffällige Auskunfts- und Schadensersatzforderungen, prüfen wir, ob ein Missbrauch vorliegt. Schreiben Sie uns oder vereinbaren Sie einen Termin.

  • DSGVO-Schadensersatz: Was Betroffene darlegen müssen (BGH vs. BAG)

    Seit Geltung der DSGVO ist der Schadensersatzanspruch nach Art. 82 eines der meistdiskutierten Themen des Datenschutzrechts. Der EuGH hat die Grundlinien inzwischen gezogen: Ein Verstoß allein genügt nicht, eine Erheblichkeitsschwelle gibt es aber auch nicht. In Deutschland legen der Bundesgerichtshof und das Bundesarbeitsgericht diese Vorgaben allerdings mit unterschiedlicher Strenge aus. Für Betroffene wie für Unternehmen lohnt sich ein genauer Blick.

    Die Vorgaben des EuGH

    • Erforderlich sind ein Verstoß, ein materieller oder immaterieller Schaden und ein Kausalzusammenhang (Urteil Österreichische Post).
    • Schon die begründete Befürchtung eines Datenmissbrauchs kann ein Schaden sein (C-340/21).
    • Ein rein hypothetisches Risiko genügt nicht (MediaMarktSaturn).
    • Der Anspruch hat eine reine Ausgleichsfunktion; Bußgeldkriterien spielen für die Höhe keine Rolle.

    Die Linie des BGH: Kontrollverlust ist der Schaden

    Der Bundesgerichtshof hat in seiner Leitentscheidung zum Facebook-Scraping vom 18. November 2024 (VI ZR 10/24) entschieden, dass bereits der bloße, auch kurzzeitige Verlust der Kontrolle über personenbezogene Daten ein immaterieller Schaden sein kann, ohne dass weitere negative Folgen nachgewiesen werden müssen. Für den bloßen Kontrollverlust hält er einen Ausgleich in der Größenordnung von 100 Euro für angemessen; besondere Umstände können zu höheren Beträgen führen. Einzelheiten in unserem Beitrag „BGH zum Facebook-Scraping“.

    Die Linie des BAG: Konkrete Darlegung erforderlich

    Das Bundesarbeitsgericht ist strenger. Mit Urteil vom 20. Februar 2025 (8 AZR 61/24) wies es die Klage eines ehemaligen Beschäftigten ab, der wegen einer verspäteten Auskunft nach Art. 15 DSGVO Schadensersatz verlangt hatte. Das bloße Behaupten eines Gefühls, etwa eines Kontrollverlusts, reiche nicht aus; erforderlich seien konkrete, objektivierbare Umstände. Bereits zuvor hatte das BAG entschieden, dass die Befürchtung eines Datenmissbrauchs zwar ein Schaden sein kann, ihre bloß allgemeine Behauptung aber nicht genügt. Anders liegt es, wenn der Schaden offensichtlich ist, etwa bei einer rechtswidrigen Überwachung eines Arbeitnehmers durch einen Detektiv.

    Was folgt daraus für Betroffene?

    • Beschreiben Sie konkret, was passiert ist und wie es sich auf Sie ausgewirkt hat, etwa Spam-Anrufe, Betrugsversuche, Sorgen um bestimmte Daten oder Zeitaufwand für Schutzmaßnahmen.
    • Heben Sie Benachrichtigungsschreiben, verdächtige Nachrichten und bei erheblichen Belastungen ärztliche Atteste auf.
    • Ohne besondere Folgen bewegen sich die Beträge meist im unteren dreistelligen Bereich.
    • Ansprüche aus dem Arbeitsverhältnis landen vor den Arbeitsgerichten, für die die BAG-Rechtsprechung maßgeblich ist.

    Was folgt daraus für Unternehmen?

    Auch geringe Einzelbeträge können sich bei Datenpannen mit vielen Betroffenen erheblich summieren. Zugleich lohnt es sich, pauschale Forderungen genau zu prüfen: Wird der Schaden nur behauptet, lässt er sich häufig erfolgreich bestreiten. Die beste Verteidigung bleibt die Vorbeugung durch gute technische und organisatorische Maßnahmen und die fristgerechte Bearbeitung von Betroffenenanfragen. Gerade verspätete Auskünfte sind ein häufiger Anlass für Klagen; Hinweise zur Bearbeitung gibt unser Leitfaden „Auskunftsersuchen richtig beantworten“.

    Der BGH lässt den Kontrollverlust genügen, das BAG verlangt eine konkrete Darlegung. Wie ein Verfahren ausgeht, hängt deshalb stark davon ab, wie gut der Sachverhalt aufbereitet und belegt ist. Wir unterstützen Sie dabei, Ansprüche geltend zu machen oder Forderungen abzuwehren. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • EuG Bindl: EU-Kommission muss 400 Euro für Facebook-Login zahlen

    Ausgerechnet die Europäische Kommission muss wegen eines Datenschutzverstoßes Schadensersatz zahlen. Mit Urteil vom 8. Januar 2025 (Rs. T-354/22, Bindl/Kommission) hat das Gericht der Europäischen Union (EuG) entschieden, dass die Kommission einem Bürger 400 Euro zahlen muss, weil beim Login über Facebook auf einer ihrer Websites personenbezogene Daten ohne geeignete Garantien in die USA übermittelt wurden. Die Entscheidung ist auch für private Website-Betreiber lehrreich.

    Der Fall

    Der Kläger hatte sich im März 2022 auf der Website der „Konferenz zur Zukunft Europas“ für eine Veranstaltung angemeldet und dafür die Option „Mit Facebook anmelden“ genutzt. Dabei wurden nach den Feststellungen des Gerichts unter anderem seine IP-Adresse und Browserinformationen an Meta Platforms in den USA übermittelt. Zu diesem Zeitpunkt gab es nach dem Schrems-II-Urteil keinen Angemessenheitsbeschluss für die USA; das Data Privacy Framework trat erst im Juli 2023 in Kraft. Die Kommission hatte für die Übermittlung auch keine sonstigen geeigneten Garantien vorgesehen. Weitere Vorwürfe des Klägers, insbesondere zu Datenübermittlungen über ein Content-Delivery-Netzwerk eines anderen US-Anbieters, sah das Gericht dagegen nicht als erwiesen an.

    Die Entscheidung

    • Die Kommission hat durch die Einbindung des Facebook-Logins die Übermittlung der IP-Adresse an Meta ermöglicht und ist dafür verantwortlich.
    • Die Übermittlung ohne geeignete Garantien stellt einen hinreichend qualifizierten Verstoß gegen eine Rechtsnorm dar, die dem Einzelnen Rechte verleiht.
    • Der Kläger befand sich in einer Lage der Ungewissheit darüber, wie seine Daten, insbesondere seine IP-Adresse, verarbeitet werden. Das genügte als immaterieller Schaden; der Kausalzusammenhang war hinreichend unmittelbar.
    • Das Gericht sprach die geforderten 400 Euro zu. Weitere Ansprüche, etwa wegen einer behaupteten Verletzung des Auskunftsrechts, wies es mangels nachgewiesenen Schadens ab.

    Für die Datenverarbeitung durch EU-Organe gilt nicht die DSGVO, sondern die inhaltlich weitgehend parallele Verordnung (EU) 2018/1725. Die Grundsätze lassen sich aber gut auf private Website-Betreiber übertragen. Gegen das Urteil ist ein Rechtsmittel zum EuGH möglich.

    Was Website-Betreiber daraus lernen sollten

    1. Wer Login-Funktionen, Plugins oder Skripte von Drittanbietern einbindet, ist für die dadurch ausgelösten Datenübermittlungen mitverantwortlich, ähnlich wie bei den dynamisch geladenen Google Fonts.
    2. Heute ist zu prüfen, ob der Empfänger unter dem Data Privacy Framework zertifiziert ist oder andere Garantien bestehen.
    3. Für nicht notwendige Zugriffe auf Endgeräte ist nach dem TDDDG zusätzlich eine Einwilligung erforderlich.
    4. Die Datenschutzerklärung muss die Dienste und Übermittlungen benennen.

    Schon ein Login-Button kann erhebliche Folgen haben, und bereits die Ungewissheit über die Datenverarbeitung wird als Schaden anerkannt. Gern prüfen wir, welche Drittdienste auf Ihrer Website Daten übermitteln. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • BGH zum Facebook-Scraping: Kontrollverlust ist ein Schaden

    Im April 2021 wurden Daten von rund 533 Millionen Facebook-Nutzern im Internet veröffentlicht, die Unbekannte zuvor durch sogenanntes Scraping abgegriffen hatten. In Deutschland sind tausende Klagen gegen Meta anhängig. Am 18. November 2024 hat der Bundesgerichtshof (Az. VI ZR 10/24) im ersten sogenannten Leitentscheidungsverfahren nach dem neuen § 552b ZPO zentrale Rechtsfragen geklärt. Die Entscheidung wirkt sich auf alle Datenschutz-Schadensersatzklagen aus.

    Der Fall

    Der Kläger war Facebook-Nutzer. Durch die damaligen Suchbarkeits- und Sichtbarkeitseinstellungen konnten Dritte sein Profil mit seiner Telefonnummer verknüpfen und Daten wie Name, Telefonnummer, Arbeitsstätte und Nutzer-ID abgreifen. Er verlangte unter anderem immateriellen Schadensersatz, die Feststellung der Ersatzpflicht für künftige Schäden und Unterlassung. Die Vorinstanzen hatten die Klage überwiegend abgewiesen.

    Die Kernaussagen des BGH

    • Auch der bloße und kurzzeitige Verlust der Kontrolle über eigene personenbezogene Daten kann ein immaterieller Schaden im Sinne von Art. 82 Abs. 1 DSGVO sein. Der Betroffene muss weder einen konkreten Missbrauch noch sonstige zusätzliche spürbare negative Folgen nachweisen.
    • Liegen keine besonderen Umstände wie ein tatsächlicher Missbrauch der Daten vor, hält der BGH für den bloßen Kontrollverlust einen Ausgleich in der Größenordnung von 100 Euro für ausreichend.
    • Ansprüche auf Feststellung der Ersatzpflicht für künftige Schäden und auf Unterlassung kommen grundsätzlich in Betracht.
    • Die Voreinstellung der Suchbarkeit über die Telefonnummer auf „alle“ dürfte gegen den Grundsatz der Datenminimierung verstoßen. Ob eine wirksame Einwilligung vorlag, muss das Berufungsgericht noch prüfen.

    Der BGH hat die Sache an das Berufungsgericht zurückverwiesen.

    Einordnung

    Der BGH folgt der Linie des EuGH, der eine Erheblichkeitsschwelle abgelehnt und den Kontrollverlust als möglichen Schaden anerkannt hat; siehe unsere Beiträge zur Österreichischen Post und zur Befürchtung eines Datenmissbrauchs. Viele Instanzgerichte hatten bislang zusätzliche Beeinträchtigungen verlangt. Diese Hürde entfällt nun. Zugleich setzt der BGH mit dem Richtwert von 100 Euro ein deutliches Signal gegen überzogene Forderungen.

    Was bedeutet das für Unternehmen?

    Bei Datenlecks mit vielen Betroffenen können auch geringe Einzelbeträge in Summe erhebliche Haftungsrisiken begründen. Unternehmen sollten ihre Voreinstellungen nach dem Grundsatz „Privacy by Default“ (Art. 25 DSGVO) überprüfen, Schnittstellen gegen massenhaftes Abgreifen von Daten absichern und ihre Schutzmaßnahmen dokumentieren.

    Was bedeutet das für Betroffene?

    Betroffene von Datenlecks müssen keinen konkreten Missbrauch mehr nachweisen. Die zu erwartenden Beträge sind ohne besondere Folgen aber überschaubar. Wer zusätzliche Beeinträchtigungen erlitten hat, etwa Betrugsversuche, Spam-Anrufe oder Identitätsmissbrauch, sollte diese genau dokumentieren.

    Für Massenverfahren nach Datenlecks ist die Leitentscheidung ein Wendepunkt: Der Kontrollverlust genügt, der Ausgleich bleibt in typischen Fällen aber moderat. Wir vertreten Betroffene ebenso wie Unternehmen, die sich solchen Klagen gegenübersehen. Schreiben Sie uns oder vereinbaren Sie einen Termin.

  • EuGH juris: Unternehmen haften auch für weisungswidrige Mitarbeiter

    Ein Kunde widerspricht der Werbung, erhält aber trotzdem weiter Werbebriefe. Das Unternehmen erklärt, ein Mitarbeiter habe sich nicht an die internen Anweisungen gehalten. Damit entgeht es der Haftung nicht, wie der Gerichtshof der Europäischen Union mit Urteil vom 11. April 2024 (Rs. C-741/21, juris) entschieden hat. Die Entscheidung präzisiert zudem, wie Schadensersatz nach Art. 82 DSGVO zu bemessen ist.

    Der Fall

    Der Kläger war Kunde eines juristischen Informationsdienstes. Im November 2018 widerrief er seine Einwilligungen in Werbung und widersprach jeder Verarbeitung seiner Daten mit Ausnahme des Newsletters. Gleichwohl erhielt er im Januar 2019 zwei an ihn persönlich adressierte Werbeschreiben und nach einem erneuten Widerspruch ein weiteres. Er verlangte Ersatz seines materiellen und immateriellen Schadens. Das Unternehmen verteidigte sich damit, es habe ein Verfahren zur Umsetzung von Widersprüchen eingerichtet; der Fehler gehe auf einen Mitarbeiter zurück, der weisungswidrig gehandelt habe. Das Landgericht Saarbrücken legte dem EuGH mehrere Fragen vor.

    Die Kernaussagen

    • Ein Verstoß gegen die DSGVO allein begründet keinen Anspruch. Der Kläger muss einen, wenn auch geringfügigen, Schaden und die Kausalität nachweisen. Ein auch kurzzeitiger Kontrollverlust über Daten kann einen immateriellen Schaden darstellen.
    • Der Verantwortliche wird nach Art. 82 Abs. 3 DSGVO nur befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Schaden verantwortlich ist. Der bloße Hinweis, ein ihm unterstellter Mitarbeiter habe Anweisungen missachtet, genügt dafür nicht.
    • Die Kriterien des Art. 83 DSGVO für die Bemessung von Geldbußen sind auf den Schadensersatz nicht anwendbar. Art. 82 DSGVO hat eine reine Ausgleichsfunktion.
    • Anders als bei Bußgeldern führt das Vorliegen mehrerer Verstöße gegenüber derselben Person nicht zu einer Erhöhung des Schadensersatzes. Maßgeblich ist allein der tatsächlich erlittene Schaden.

    Was bedeutet das für Unternehmen?

    Interne Anweisungen allein schützen nicht vor Haftung. Unternehmen müssen durch Schulungen, Kontrollen und technische Vorkehrungen sicherstellen, dass ihre Prozesse tatsächlich funktionieren. Gerade bei Widersprüchen gegen Werbung und Abmeldungen vom Newsletter empfiehlt sich eine technische Sperrliste, die eine erneute Ansprache automatisch verhindert. Hinweise zur rechtssicheren Gestaltung finden Sie in unserem Beitrag „Newsletter rechtssicher versenden“.

    Das Urteil fügt sich in die Linie des EuGH ein, der die Organisationsverantwortung der Unternehmen auch im Bußgeldrecht betont hat; siehe unseren Beitrag zum Deutsche-Wohnen-Urteil. Unternehmen können ihre Verantwortung nicht auf einzelne Beschäftigte abwälzen.

    Was bedeutet das für Betroffene?

    Wer trotz Widerspruchs weiter Werbung erhält, hat eine gute Ausgangsposition. Allerdings sind die zu erwartenden Beträge für immateriellen Schadensersatz in solchen Fällen eher gering, da sie sich am tatsächlichen Schaden orientieren. Häufig ist ein Unterlassungsanspruch das wirksamere Mittel, um weitere Werbung zu unterbinden.

    Prozesse für Widersprüche, Abmeldungen und Löschungen müssen also nicht nur auf dem Papier existieren, sondern zuverlässig funktionieren. Wir vertreten Betroffene, die trotz Widerspruchs Werbung erhalten, und Unternehmen, die auf Schadensersatz in Anspruch genommen werden. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • EuGH MediaMarktSaturn: Kein Schadensersatz bei bloß hypothetischem Risiko

    Kurz nach seinem Urteil zur Befürchtung eines Datenmissbrauchs als Schaden hat der Gerichtshof der Europäischen Union die Grenzen des Schadensersatzanspruchs nach Art. 82 DSGVO weiter konturiert. Mit Urteil vom 25. Januar 2024 (Rs. C-687/21, MediaMarktSaturn) stellte er klar: Ein rein hypothetisches Risiko eines Missbrauchs genügt nicht.

    Der Fall

    Ein Kunde hatte in einem Elektronikmarkt ein Haushaltsgerät gekauft und dafür einen Kredit- und Kaufvertrag mit seinen persönlichen Daten unterschrieben. Durch ein Versehen der Mitarbeitenden wurden das Gerät und die Unterlagen einem anderen Kunden ausgehändigt, der sich vorgedrängelt hatte. Der Fehler fiel nach etwa einer halben Stunde auf; Gerät und Dokumente wurden zurückgegeben. Es gab keine Anhaltspunkte dafür, dass der andere Kunde die Unterlagen gelesen hatte. Der Käufer verlangte dennoch Schadensersatz für den immateriellen Schaden, der ihm durch das Risiko eines Kontrollverlusts entstanden sei.

    Die Kernaussagen

    • Verantwortliche müssen ihre technischen und organisatorischen Maßnahmen nicht so gestalten, dass jeder Datenschutzverstoß ausgeschlossen ist. Ein einzelner Fehler von Beschäftigten führt deshalb nicht automatisch zur Haftung.
    • Der Schadensersatzanspruch nach Art. 82 DSGVO hat keine Straffunktion, sondern eine reine Ausgleichsfunktion. Ersetzt wird nur der tatsächlich erlittene Schaden.
    • Hat ein Dritter von den personenbezogenen Daten nachweislich keine Kenntnis genommen, begründet das rein hypothetische Risiko einer missbräuchlichen Verwendung keinen ersatzfähigen immateriellen Schaden. Ein Kontrollverlust, auch ein nur kurzzeitiger, kann zwar grundsätzlich ein Schaden sein, setzt aber eine begründete Befürchtung voraus.

    Abgrenzung zu C-340/21

    Auf den ersten Blick scheinen die beiden Urteile in Spannung zu stehen. Tatsächlich ergänzen sie sich: Im bulgarischen Fall waren die Daten tatsächlich von Kriminellen erbeutet und veröffentlicht worden, die Befürchtung eines Missbrauchs war daher begründet. Im MediaMarktSaturn-Fall hatte dagegen niemand die Daten zur Kenntnis genommen; ein Missbrauch war praktisch ausgeschlossen. Maßgeblich ist also, ob die Befürchtung objektiv nachvollziehbar ist.

    Folgen für die Praxis

    Für Unternehmen heißt das: Schnelles Handeln nach einer Fehlleitung von Daten kann Schäden verhindern. Wer den Fehler früh bemerkt, die Unterlagen zurückholt und dokumentiert, dass keine Kenntnisnahme erfolgt ist, kann Schadensersatzforderungen wirksam entgegentreten. Ob der Vorfall der Aufsichtsbehörde zu melden ist, hängt vom Risiko ab; Details in unserem Leitfaden „Datenpanne melden“.

    Für Betroffene heißt es: Wer Schadensersatz verlangt, muss konkret darlegen, worin der Schaden besteht. Allgemeine Unmutsbekundungen genügen nicht. Grundlagen dazu finden Sie in unserem Beitrag zum Urteil Österreichische Post.

    Nach einem Vorfall kommt es damit auf beiden Seiten auf die genaue Aufklärung des Sachverhalts an. Streiten Sie über Schadensersatz nach einer Datenschutzverletzung, sprechen Sie uns an: Kontaktformular oder Terminbuchung.

  • EuGH: Schon die Angst vor Datenmissbrauch kann ein Schaden sein

    Nach Cyberangriffen und Datenlecks fragen Betroffene regelmäßig, ob sie Schadensersatz verlangen können, auch wenn mit ihren Daten (noch) nichts passiert ist. Der Gerichtshof der Europäischen Union hat dazu mit Urteil vom 14. Dezember 2023 (Rs. C-340/21) wichtige Antworten gegeben. Das Urteil betrifft zugleich die Frage, wann ein Unternehmen für einen Hackerangriff haftet, und erhöht die Anforderungen an die Dokumentation der IT-Sicherheit.

    Der Fall

    Bei einem Cyberangriff auf die bulgarische Nationale Agentur für Einnahmen waren personenbezogene Daten von Millionen Menschen erbeutet und im Internet veröffentlicht worden. Eine Betroffene verlangte Ersatz ihres immateriellen Schadens: Sie befürchte, dass ihre Daten künftig missbraucht werden könnten. Das bulgarische Oberste Verwaltungsgericht legte dem EuGH mehrere Fragen vor.

    Die Kernaussagen

    • Allein aus der Tatsache, dass Dritte unbefugt auf Daten zugegriffen haben, kann nicht geschlossen werden, dass die technischen und organisatorischen Maßnahmen des Verantwortlichen nicht geeignet waren.
    • Die nationalen Gerichte müssen die Geeignetheit der Maßnahmen konkret prüfen und dürfen sich nicht auf eine pauschale Bewertung beschränken.
    • Das Unternehmen muss nachweisen, dass seine Maßnahmen geeignet waren. Ein Sachverständigengutachten ist dafür nicht in jedem Fall zwingend oder ausreichend.
    • Der Verantwortliche wird nicht schon deshalb von der Haftung befreit, weil der Schaden durch Cyberkriminelle verursacht wurde. Er muss nachweisen, dass er in keinerlei Hinsicht für den Schaden verantwortlich ist.
    • Bereits die Befürchtung einer betroffenen Person, ihre Daten könnten von Dritten missbräuchlich verwendet werden, kann für sich genommen einen immateriellen Schaden darstellen. Das Gericht muss allerdings prüfen, ob diese Befürchtung unter den gegebenen Umständen als begründet angesehen werden kann.

    Einordnung

    Das Urteil knüpft an die Grundsatzentscheidung zur Österreichischen Post an: Ein Verstoß allein genügt nicht, eine Erheblichkeitsschwelle gibt es aber nicht. Nun stellt der EuGH klar, dass auch ohne tatsächlichen Missbrauch ein Schaden vorliegen kann, wenn die Angst vor Missbrauch nachvollziehbar ist. Für Betroffene erleichtert das die Durchsetzung von Ansprüchen nach Datenlecks deutlich.

    Was bedeutet das für Unternehmen?

    Unternehmen tragen nach einem Cyberangriff die Beweislast dafür, dass ihre Sicherheitsmaßnahmen angemessen waren. Das hat praktische Konsequenzen:

    • Sicherheitsmaßnahmen müssen nicht nur umgesetzt, sondern auch nachvollziehbar dokumentiert sein.
    • Regelmäßige Überprüfungen, Penetrationstests und Updates sollten protokolliert werden.
    • Nach einem Vorfall ist eine sorgfältige Aufarbeitung wichtig, auch im Hinblick auf mögliche Schadensersatzprozesse. Zu den Sofortmaßnahmen siehe unseren Leitfaden zur Datenpanne.

    Was bedeutet das für Betroffene?

    Wer von einem Datenleck betroffen ist, sollte dokumentieren, welche Daten betroffen sind, welche Benachrichtigungen er erhalten hat und welche konkreten Sorgen oder Folgen aufgetreten sind, etwa verdächtige E-Mails oder Anrufe. Je konkreter die Befürchtung begründet werden kann, desto besser stehen die Chancen auf Schadensersatz.

    Ein Hackerangriff ist kein Haftungsfreibrief; es kommt darauf an, ob angemessen vorgesorgt wurde. Wir beraten Betroffene von Datenlecks ebenso wie Unternehmen, die nach einem Cyberangriff in Anspruch genommen werden. Nehmen Sie Kontakt auf oder vereinbaren Sie einen Termin.

  • EuGH zu Art. 82 DSGVO: Kein Schadensersatz ohne Schaden

    Seit Geltung der DSGVO streiten Gerichte darüber, wann Betroffene nach einem Datenschutzverstoß Schadensersatz verlangen können, ob also schon der Verstoß als solcher genügt oder ein „spürbarer“ Schaden vorliegen muss. Mit seinem Urteil vom 4. Mai 2023 in der Rechtssache C-300/21 (Österreichische Post) hat der Gerichtshof der Europäischen Union erstmals grundlegende Fragen zu Art. 82 DSGVO beantwortet.

    Der Fall

    Die Österreichische Post hatte mithilfe eines Algorithmus Informationen über die vermeintliche Affinität von Personen zu politischen Parteien ermittelt, um Zielgruppen für Wahlwerbung zu bilden. Ein Betroffener, dem eine besondere Nähe zu einer bestimmten Partei zugeschrieben worden war, fühlte sich dadurch verärgert und bloßgestellt. Er verlangte 1.000 Euro Schadensersatz für immaterielle Schäden. Der österreichische Oberste Gerichtshof legte dem EuGH mehrere Fragen vor.

    Die drei Kernaussagen

    1. Der bloße Verstoß genügt nicht. Ein Anspruch auf Schadensersatz setzt drei Elemente voraus: einen Verstoß gegen die DSGVO, einen materiellen oder immateriellen Schaden und einen Kausalzusammenhang zwischen beiden. Nicht jeder Verstoß führt automatisch zu einem Anspruch.
    2. Eine Erheblichkeitsschwelle gibt es nicht. Der Anspruch darf nicht davon abhängig gemacht werden, dass der immaterielle Schaden einen bestimmten Grad an Erheblichkeit erreicht. Eine Bagatellgrenze, wie sie manche nationalen Gerichte angewandt hatten, ist mit der DSGVO nicht vereinbar. Der Betroffene muss aber nachweisen, dass er tatsächlich einen Schaden erlitten hat.
    3. Die Höhe des Schadensersatzes richtet sich nach dem Recht der Mitgliedstaaten, wobei die Grundsätze der Äquivalenz und Effektivität zu beachten sind. Der Ersatz muss den erlittenen Schaden vollständig und wirksam ausgleichen.

    Was bedeutet das für die Praxis?

    Für Betroffene ist das Urteil ambivalent. Einerseits ist die in Deutschland verbreitete Abweisung von Klagen wegen „Bagatellschäden“ nicht mehr haltbar. Andererseits reicht der Hinweis auf einen Verstoß nicht aus. Es kommt darauf an, konkret darzulegen, welche negativen Folgen eingetreten sind, etwa Ängste, Bloßstellung, Ärger oder ein spürbarer Verlust an Kontrolle. Wie unterschiedlich deutsche Gerichte bisher geurteilt haben, zeigt etwa das Google-Fonts-Urteil des LG München I, das einen Schaden bereits im Kontrollverlust und Unwohlsein des Klägers sah. Weitere Fragen, etwa ob schon die bloße Befürchtung eines Datenmissbrauchs einen Schaden darstellen kann, liegen dem EuGH noch zur Entscheidung vor.

    Für Unternehmen bedeutet das Urteil keine Entwarnung. Massenverfahren nach Datenlecks bleiben möglich, wenn Kläger einen individuellen Schaden darlegen. Vorbeugung bleibt der beste Schutz, angefangen bei soliden technischen und organisatorischen Maßnahmen bis zu einem sauberen Prozess für Datenpannen. Die Höhe der Ansprüche bestimmen weiterhin die nationalen Gerichte.

    In künftigen Verfahren wird es auf die konkrete Darlegung der Beeinträchtigung ankommen. Wir vertreten Betroffene, die Schadensersatz wegen eines Datenschutzverstoßes verlangen, ebenso wie Unternehmen, die in Anspruch genommen werden. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • LG München zu Google Fonts: 100 Euro Schadensersatz für IP-Weitergabe

    Schriftarten sind das Letzte, woran viele Website-Betreiber beim Datenschutz denken. Ein Urteil des Landgerichts München I vom 20. Januar 2022 (Az. 3 O 17493/20) zeigt jedoch, dass gerade die beliebten Google Fonts zum Haftungsrisiko werden können. Das Gericht verurteilte einen Website-Betreiber zur Unterlassung und zur Zahlung von 100 Euro Schadensersatz, weil beim Aufruf der Seite die IP-Adresse des Besuchers ohne dessen Einwilligung an Google übermittelt wurde.

    Was war passiert?

    Die beklagte Website band Schriftarten des Dienstes Google Fonts dynamisch ein. Das bedeutet: Bei jedem Seitenaufruf lädt der Browser des Besuchers die Schriftarten direkt von Servern von Google. Dabei wird zwangsläufig die IP-Adresse des Besuchers an Google übermittelt. Der Kläger hatte die Website aufgerufen und verlangte Unterlassung und Schadensersatz.

    Die Entscheidung

    Das LG München I gab der Klage statt. Die dynamische IP-Adresse sei für den Website-Betreiber ein personenbezogenes Datum, da er abstrakt über rechtliche Mittel verfüge, den Anschlussinhaber bestimmen zu lassen. Die Weitergabe an Google sei ohne Einwilligung erfolgt und lasse sich auch nicht auf ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO stützen. Denn Google Fonts könnten auch lokal auf dem eigenen Server gehostet werden, ohne dass beim Seitenaufruf eine Verbindung zu Google hergestellt wird. Zur Frage, ob IP-Adressen personenbezogene Daten sind, haben wir bereits früher berichtet, etwa im Beitrag „Eine dynamische IP-Adresse kann ein personenbezogenes Datum sein“.

    Den Schadensersatz von 100 Euro nach Art. 82 DSGVO begründete das Gericht mit dem Kontrollverlust über ein personenbezogenes Datum und dem individuellen Unwohlsein des Klägers, das angesichts der Übermittlung an ein Unternehmen, das bekanntermaßen Daten über seine Nutzer sammelt, so erheblich sei, dass ein Schadensersatzanspruch gerechtfertigt sei. Zusätzlich wies das Gericht auf die Übermittlung in die USA hin, wo nach dem Schrems-II-Urteil kein angemessenes Datenschutzniveau gewährleistet sei.

    Einordnung

    Es handelt sich um eine Entscheidung eines Landgerichts, nicht um höchstrichterliche Rechtsprechung. Ob ein immaterieller Schaden bereits bei einem bloßen Kontrollverlust ohne weitere Folgen vorliegt, wird von deutschen Gerichten derzeit uneinheitlich beurteilt; die Frage liegt inzwischen auch dem EuGH vor. Dennoch ist das Risiko für Website-Betreiber real: Das Urteil dürfte zahlreiche ähnliche Forderungen nach sich ziehen.

    So prüfen und lösen Sie das Problem

    1. Öffnen Sie die Entwicklertools Ihres Browsers und kontrollieren Sie im Netzwerk-Tab, ob beim Laden Ihrer Seite Anfragen an „fonts.googleapis.com“ oder „fonts.gstatic.com“ gehen. Auch Themes und Plugins laden Fonts häufig automatisch nach.
    2. Laden Sie die Schriftarten herunter und binden Sie sie vom eigenen Server ein. Viele Content-Management-Systeme bieten dafür Plugins oder Einstellungen.
    3. Prüfen Sie andere Drittdienste nach demselben Muster: Karten, Videos, Captchas und Icon-Bibliotheken. Was ohne Einwilligung Verbindungen zu Dritten aufbaut, sollte über den Cookie- bzw. Consent-Banner gesteuert oder lokal gehostet werden.
    4. Passen Sie anschließend die Datenschutzerklärung an.

    Technisch ist das Problem schnell gelöst: Fonts lokal hosten. Wenn Sie bereits ein Schreiben wegen Google Fonts erhalten haben oder Ihre Website vorsorglich prüfen lassen möchten, melden Sie sich bei uns über das Kontaktformular oder per Online-Terminbuchung.